Anonimización de documentos para administracións públicas
Publicar con transparencia e protexer os datos dos cidadáns non son obrigas contraditorias: cúmprense á vez anonimizando de forma sistemática antes de publicar. anonimiza.do automatiza a detección e supresión de datos persoais en resolucións, contratos, actas e pregos, con log de auditoría, certificación ENS e datos na Unión Europea.
Que publica un organismo e onde
A Lei 19/2013 de transparencia obriga os concellos, as deputacións, as comunidades autónomas, os organismos autónomos e as universidades públicas a publicar:
- Resolucións e actos administrativos dos procedementos.
- Contratos e licitacións no perfil do contratante: pregos, memorias técnicas, actas da mesa e de adxudicación.
- Subvencións concedidas, con beneficiario, importe e obxecto.
- Actas de plenos e doutros órganos colexiados.
- Resolucións sancionadoras, só nos casos previstos expresamente pola lei.
- Respostas a solicitudes de acceso á información pública.
Que datos deben suprimirse antes de publicar
A AEPD fixou criterios claros sobre que datos persoais non deben chegar ao portal:
En resolucións e actos administrativos
O DNI completo —substitúese polas catro últimas cifras ou suprímese—, o enderezo postal, o teléfono e o correo electrónico, o número de conta bancaria, habitual en resolucións de subvencións, e os datos de saúde ou de situación familiar que non sexan relevantes para o acto.
En contratos e licitacións
O DNI/NIE dos representantes legais das empresas licitadoras, os datos persoais dos técnicos asinantes que non son cargos públicos, o teléfono, o email e o enderezo persoais, o CV detallado do persoal técnico proposto, os datos de familiares en informes de solvencia e as sinaturas manuscritas. Publícanse con identificación o órgano de contratación, a identidade do adxudicatario, o importe, os prazos e o obxecto.
En actas de órganos colexiados
As actas de plenos municipais poden publicarse cos nomes dos cargos electos, pero deben protexer os datos dos cidadáns que interveñen como particulares, por exemplo na quenda de rogos e preguntas.
En subvencións
Cando o beneficiario é unha persoa física, publicar nome, importe e obxecto da subvención é proporcional; publicar nome, DNI e enderezo xa non o é.
En resolucións sancionadoras
A publicación só é obrigatoria nos casos previstos expresamente pola lei e coas limitacións establecidas para cada tipo de procedemento.
Anonimizar, non pseudonimizar
É o punto técnico que máis confusión xera nos equipos de xestión documental:
- Pseudonimizar substitúe o dato por un código —DNI 12345678A → CIDADÁN-0042— e conserva un ficheiro de correspondencia: o documento segue a conter datos persoais para os efectos do RXPD.
- Anonimizar elimina ou transforma o dato de forma irreversible: o documento resultante xa non contén datos persoais e queda fóra do RXPD.
- Para o portal de transparencia a AEPD recomenda anonimización real, agás cando a lei esixa identificar o interesado, como en determinadas publicacións do BOE ou en taboleiros de notificación.
- A proba práctica: se alguén que le o documento publicado, cruzándoo con outras fontes públicas, pode identificar a persoa, non está anonimizado.
- Tres principios do RXPD sosteñen o fluxo: minimización (art. 5.1.c), privacidade desde o deseño (art. 25) e responsabilidade proactiva (art. 5.2), que obriga a poder demostrar que se publicou, que datos contiña e que medidas se aplicaron.
Como implantar un fluxo de anonimización no organismo
O proceso habitual é manual —un funcionario revisa o documento e borra os datos que lembra que son sensibles— e ten tres problemas: é lento, é inconsistente e non deixa trazabilidade. Un fluxo sistemático inclúe:
- Clasificación dos tipos de documento que se publican e dos datos persoais que adoita conter cada categoría.
- Detección automatizada con ferramentas capaces de identificar datos persoais en texto non estruturado, incluídos os formatos españois: DNI, NIE, número da Seguridade Social, matrícula, IBAN.
- Revisión humana dos casos ambiguos, como un nome que tamén é o dunha empresa ou un enderezo que forma parte dunha referencia catastral.
- Log de auditoría por documento publicado: que proceso de anonimización se aplicou, en que data e por que persoa ou sistema.
- Revisión dos criterios polo menos unha vez ao ano, porque a AEPD actualiza periodicamente a súa interpretación.
Que achega anonimiza.do a unha administración
- Detección automática das 20 tipoloxías do catálogo en sete familias, cos formatos do contexto español —DNI, NIE, número da Seguridade Social, IBAN, matrícula— validados polo seu díxito de control.
- Tipoloxías propias descritas en linguaxe natural, como «código de expediente sancionador», sen programar regras nin adestrar nada.
- OCR para expedientes escaneados, procesamento por lotes e API REST para integralo no fluxo de publicación.
- Anonimización irreversible ou pseudonimización reversible, e verificación de k-anonimidade.
- Log de auditoría de cada documento procesado: a evidencia que protexe o organismo ante unha reclamación.
- Esquema Nacional de Seguridade categoría MEDIA (Real decreto 311/2022), datos na Unión Europea (AWS Frankfurt) con opción de despregamento na rexión de AWS en España, e contrato de encargado do tratamento.
- Plan Empresa con volume ilimitado e SSO/SAML para organismos; plan gratuíto de 3 documentos ao mes para probar.
Probar gratis: 3 documentos ao mes
Preguntas frecuentes
Pode unha administración publicar o nome dos perceptores de subvencións?
Si, en xeral: a Lei de transparencia obriga a publicar as subvencións concedidas con importe e beneficiario. Pero cando o beneficiario é unha persoa física, o RXPD limita que máis pode publicarse xunto ao seu nome: nome, importe e obxecto é proporcional; nome, DNI e enderezo non o é.
Están obrigados os concellos pequenos a cumprir o RXPD?
Si, sen excepcións. O RXPD aplícase a calquera organismo que trate datos persoais, independentemente do seu tamaño. O que varía co tamaño é a obriga de designar un Delegado de Protección de Datos, non o cumprimento dos principios básicos.
Que pasa se un cidadán solicita información que contén datos de terceiros?
O dereito de acceso á información pública non prevalece automaticamente sobre o RXPD. O organismo debe ponderar ambos os dereitos e, en xeral, facilitar a información en formato anonimizado cando poida facelo sen desvirtuar o obxecto da solicitude.
Pode a AEPD sancionar unha administración pública?
Si. Aínda que as administracións non reciben multas económicas nos mesmos termos que as empresas, a AEPD pode emitir apercibimentos con efecto público e esixir medidas correctoras con prazos obrigatorios. Ademais, os responsables individuais poden incorrer en responsabilidade disciplinaria.